Comment savoir si un site est fiable : 6 contrôles gratuits

Pour vérifier si un site est fiable, consacrez deux minutes à cinq contrôles avant de saisir un mot de passe ou un numéro de carte : lisez attentivement le vrai nom de domaine, vérifiez l'âge du domaine avec une recherche WHOIS, regardez qui a émis son certificat avec le vérificateur SSL, suivez tout lien raccourci ou de suivi avec un vérificateur de redirections pour voir où il mène vraiment, et passez l'adresse dans l'outil d'état des sites de Google Safe Browsing. Aucun contrôle ne prouve à lui seul qu'un site est sûr, mais les sites frauduleux en échouent presque toujours deux ou trois à la fois. Ce guide détaille chaque contrôle avec des outils gratuits, explique ce que signifient les résultats et recense les signaux d'alerte les plus importants.

Pourquoi le cadenas ne suffit pas à prouver qu'un site est sûr

Pendant des années, on nous a conseillé de chercher le cadenas. Ce conseil est dépassé. Le cadenas (HTTPS) signifie seulement que la connexion entre votre navigateur et le serveur est chiffrée. Il ne dit rien de l'identité de celui qui gère le site, ni de son honnêteté. N'importe qui contrôlant un domaine peut obtenir automatiquement un certificat gratuit en quelques minutes : les pages d'hameçonnage et les fausses boutiques utilisent donc HTTPS, exactement comme les vraies entreprises.

Considérez donc HTTPS comme un minimum, pas comme un verdict. En 2026, un site sans HTTPS est un signal d'alerte pour tout ce qui implique une connexion ou un paiement, mais un site avec HTTPS doit quand même passer les contrôles ci-dessous.

Check-list rapide pour vérifier la fiabilité d'un site

Étape 1 : lisez le vrai nom de domaine

La plupart des faux sites se démasquent dès cette étape, car l'arnaque repose sur le fait que vous ne lisez pas l'adresse. Ce qui compte, c'est le domaine enregistré : le nom placé juste avant l'extension (.com, .fr, .shop). Tout ce qui se trouve à sa gauche est un sous-domaine, que le propriétaire peut nommer comme bon lui semble.

• https://paypal.com.account-verify.help/login appartient à account-verify.help, pas à PayPal.
• https://secure-amazon-orders.net appartient à quiconque a enregistré secure-amazon-orders.net. Ajouter le nom d'une marque dans un domaine plus long ne coûte rien à un escroc.
• https://www.example.com@login-check.io vous envoie sur login-check.io. Tout ce qui précède le @ est traité comme un nom d'utilisateur et ignoré.

Quand un lien est long ou confus, collez-le dans l'analyseur d'URL. Il découpe l'adresse en protocole, hôte, chemin et chaîne de requête, pour que vous voyiez le véritable hôte sans plisser les yeux. Si le lien est rempli de codes du type %2F, décodez-le d'abord avec le décodeur d'URL.

Attention aux lettres qui se ressemblent

Certains domaines utilisent des caractères d'autres alphabets qui ressemblent trait pour trait aux lettres latines, par exemple un « а » cyrillique à la place d'un « a » latin. Les navigateurs stockent ces noms internationalisés dans un format appelé Punycode, qui commence par xn--. Si vous collez un domaine suspect dans le convertisseur Punycode IDN et qu'il se transforme en chaîne xn-- alors que la marque attendue s'écrit en lettres ordinaires, vous n'êtes pas sur le vrai site.

Étape 2 : vérifiez l'âge du domaine

Les fausses boutiques et les pages d'hameçonnage ont généralement une durée de vie courte. Elles sont enregistrées, utilisées pour une campagne, signalées, puis abandonnées. C'est ce qui fait de l'âge du domaine l'un des signaux les plus utiles que vous puissiez obtenir en quelques secondes.

1. Ouvrez la recherche WHOIS et saisissez uniquement le domaine, par exemple example-store.com.
2. Repérez la date de création. Une boutique qui affirme « servir ses clients depuis 2005 » sur un domaine créé le mois dernier ment sur quelque chose.
3. Regardez la date d'expiration. Les entreprises établies renouvellent souvent pour plusieurs années. Un domaine enregistré pour exactement un an ne prouve rien, mais associé à une date de création très récente, il correspond au schéma d'une arnaque.
4. Notez le bureau d'enregistrement (registrar) et les serveurs de noms. Inutile de les juger pour l'instant : comparez-les simplement plus tard avec ce que l'entreprise dit d'elle-même.

Aujourd'hui, la plupart des noms et adresses des titulaires sont masqués par des services de confidentialité, et c'est normal. Ne considérez pas à eux seuls des coordonnées masquées comme un signal d'alerte. Pour un second avis officiel, l'ICANN propose sa propre recherche de données d'enregistrement sur lookup.icann.org.

Étape 3 : examinez le certificat SSL

Le certificat ne prouve pas l'honnêteté, mais il peut révéler une configuration négligée ou trompeuse. Passez le domaine dans le vérificateur SSL et contrôlez trois points :

• Est-il valide aujourd'hui ? Un certificat expiré sur un site qui demande un paiement est une raison de partir.
• Couvre-t-il exactement ce domaine ? Les noms indiqués dans le certificat doivent inclure l'adresse que vous visitez.
• Que dit le champ Sujet (subject) ? La plupart des certificats sont à validation de domaine et n'indiquent que le domaine. Certaines grandes entreprises utilisent des certificats à validation d'organisation, qui affichent aussi le nom de la société. S'il est présent et correspond à l'entreprise, c'est un petit plus. S'il est absent, c'est normal et ce n'est pas un signal d'alerte.

Étape 4 : suivez le lien avant de cliquer

Les messages frauduleux cachent souvent la destination derrière un raccourcisseur d'URL, un lien de suivi ou une chaîne de redirections. Au lieu de cliquer, collez le lien dans le vérificateur de redirections. L'outil demande l'URL et affiche chaque saut avec son code de statut, jusqu'à la page finale.

Exemple concret

Imaginons qu'un SMS vous annonce que votre colis est bloqué, avec un lien vers une adresse raccourcie. Le vérificateur de redirections affiche quelque chose comme ceci :

https://short.example/aB3x          301
https://track-redirect.example/r?id=91   302
https://parcel-fee-payment.example/pay   200

Le domaine final n'a aucun rapport avec un vrai transporteur, et le dernier chemin demande un paiement. Vous l'avez découvert sans charger la page dans votre propre navigateur. Pour mieux comprendre les codes de redirection, consultez notre guide pour vérifier les redirections 301 et 302.

Étape 5 : regardez où le site est hébergé

Le vérificateur d'hébergement vous indique quel fournisseur sert le site. Utilisez-le pour vérifier la cohérence, pas comme un verdict. Les grandes marques fonctionnent généralement sur leur propre infrastructure ou chez un grand fournisseur de cloud et de CDN. Si un site prétend être une grande banque mais se trouve sur un hébergement mutualisé bas de gamme, quelque chose cloche. Pour aller plus loin, une recherche d'IP montre le réseau et l'emplacement approximatif du serveur, et une recherche DNS liste ses enregistrements. Notre guide des enregistrements DNS explique la signification de chacun.

Étape 6 : vérifiez l'état du site dans Google Safe Browsing

Google propose un outil gratuit de vérification de l'état des sites dans son Rapport de transparence, sur transparencyreport.google.com/safe-browsing/search. Saisissez l'adresse : l'outil vous indique si Google a actuellement détecté du contenu dangereux sur le site, comme de l'hameçonnage ou des logiciels malveillants. Un résultat propre signifie seulement que rien n'a encore été détecté. Les sites frauduleux tout récents ne sont souvent pas encore signalés, et c'est précisément pour cela que le contrôle de l'âge du domaine, à l'étape 2, compte autant.

Les signaux d'alerte sur la page elle-même

Les contrôles techniques ci-dessus repèrent la plupart des faux sites. Ces signaux sur la page aident pour le reste, en particulier pour les fausses boutiques en ligne :

• Des prix bien trop bas sur des produits très demandés, souvent accompagnés d'un compte à rebours ou d'un « plus que 2 en stock ».
• Un paiement uniquement par virement bancaire, carte cadeau, cryptomonnaie ou application de paiement, sans protection de l'acheteur.
• Aucune vraie coordonnée : pas d'adresse physique, seulement un formulaire web ou une adresse e-mail gratuite.
• Un contenu copié ou générique : des pages de conditions qui citent une autre boutique, des mentions légales mal traduites ou des photos de produits reprises d'autres sites.
• Une pression pour agir tout de suite : « votre compte sera fermé aujourd'hui », « payez les frais de douane dans l'heure ».
• Des pages de connexion atteintes depuis un message. Les vrais services vous demandent rarement de vous connecter via un lien reçu par e-mail. Saisissez vous-même l'adresse ou utilisez un favori.

Les erreurs courantes lors de la vérification d'un site

• Se fier aux avis publiés sur le site lui-même. Ils sont faciles à falsifier. Recherchez plutôt le nom de domaine suivi de « arnaque » ou « avis » sur des sites indépendants.
• Prendre un bon signe pour une preuve. Un ancien domaine peut s'acheter, et un certificat valide est gratuit. Cherchez la concordance entre plusieurs contrôles.
• Vérifier le sous-domaine au lieu du domaine. Faites la recherche WHOIS sur le domaine enregistré, pas sur login.secure.brand.example.xyz.
• Réutiliser un mot de passe sur un site dont vous doutez. Si vous devez créer un compte, utilisez un mot de passe unique. Notre générateur de mots de passe en crée un en un clic, et notre guide pour créer un mot de passe fort explique comment les gérer.

Que faire si vous avez déjà saisi vos informations sur un faux site

1. Si vous avez saisi un mot de passe, changez-le immédiatement sur le vrai site et sur tous les autres sites où vous utilisez le même. Activez l'authentification à deux facteurs.
2. Si vous avez saisi les données de votre carte, appelez votre banque ou l'émetteur de la carte au numéro indiqué au dos, et demandez-lui de faire opposition et de surveiller les débits.
3. Signalez la page à Google avec le formulaire de signalement d'hameçonnage de Google Safe Browsing pour que d'autres personnes soient averties. En France, vous pouvez aussi signaler le site sur la plateforme PHAROS (internet-signalement.gouv.fr) et trouver de l'aide sur cybermalveillance.gouv.fr. Aux États-Unis, les arnaques peuvent être signalées à la FTC sur ReportFraud.ftc.gov.

Questions fréquentes

HTTPS signifie-t-il qu'un site est fiable ?

Non. HTTPS signifie seulement que la connexion est chiffrée. Toute personne qui contrôle un domaine peut obtenir un certificat gratuit, donc les sites frauduleux utilisent aussi HTTPS. Considérez-le comme une exigence minimale, puis vérifiez le nom de domaine, son âge et les redirections.

Comment savoir depuis quand un site existe ?

Saisissez le domaine dans une recherche WHOIS et lisez la date de création. Un site qui revendique des années d'existence sur un domaine enregistré il y a quelques semaines est un signal d'alerte fort.

Est-il sans danger de vérifier un lien suspect avec un vérificateur de redirections ?

C'est bien plus sûr que de cliquer dessus, car le vérificateur demande l'URL depuis son propre serveur et ne vous montre que les sauts et l'adresse finale. N'ouvrez quand même pas la page finale si elle vous semble louche.

Des informations WHOIS masquées sont-elles le signe d'une arnaque ?

Pas à elles seules. La plupart des domaines utilisent aujourd'hui une protection de la vie privée, y compris de nombreuses entreprises légitimes. Concentrez-vous sur la date de création et sur la concordance des autres contrôles.

Que signifie xn-- dans un nom de domaine ?

Il signale un domaine Punycode, c'est-à-dire la façon dont les navigateurs stockent les noms contenant des caractères non latins. C'est tout à fait légitime pour de nombreuses langues, mais si une marque qui s'écrit normalement en lettres latines simples apparaît sous la forme xn--, vous êtes peut-être sur un site d'imitation.

Un site peut-il être fiable et échouer quand même à l'un de ces contrôles ?

Oui. Une petite entreprise récente aura un domaine jeune, et de nombreux sites légitimes utilisent un hébergement bon marché. C'est pourquoi il faut considérer les contrôles dans leur ensemble. Un résultat étrange est une raison d'y regarder de plus près ; plusieurs à la fois sont une raison de partir.